Inhalt in Kürze
- Eine Cyberversicherung 2026 deckt das Restrisiko, nicht Ihre Grundsicherung. Viele Schäden fallen unter Ausschlüsse oder verletzte Obliegenheiten — und werden dann nicht gezahlt.
- Die teuersten Lücken: CEO-Fraud und Deepfake (freiwillige Überweisung), staatlich gestützte Angriffe (Kriegsausschluss) und flächige Infrastrukturausfälle (systemisches Risiko).
- Versicherer fordern 2026 harte technische Mindeststandards: MFA, getrennte Backups, Patch-Management. Wer sie nicht nachweisbar erfüllt, riskiert die Deckung.
- Der eigentliche Hebel für den Mittelstand ist Resilienz: dokumentierte Technik, gehärtete Zahlungsprozesse, ein getesteter Wiederanlaufplan. Die Police ist die letzte Linie, nicht die erste.
Viele Geschäftsführer im norddeutschen Mittelstand fühlen sich mit einer Cyberpolice in der Tasche sicher. Die teuerste Überraschung kommt aber oft erst nach dem Schaden — wenn der Versicherer die Zahlung mit Verweis auf einen Ausschluss oder eine verletzte Obliegenheit ablehnt. Das passiert häufiger, als Maklerprospekte nahelegen. Dieser Artikel zeigt, was Ihre Police 2026 konkret nicht zahlt und was Sie tun, damit die Deckung im Ernstfall trägt.
Gerade die Cyber-Versicherung für KMU ist in den letzten Jahren stark gefragt — und gleichzeitig deutlich komplexer geworden. Wer die typische Ausschlüsse-Logik seiner Police versteht, kann die digitalen Risiken seines Betriebs bewusst steuern, statt sich in falscher Sicherheit zu wiegen. Das gilt für Konzerne ebenso wie für die vielen kleinen und mittleren Unternehmen, die hier oft mit Standardtarifen abgespeist werden. Wir gehen die wichtigsten Ausschlüsse als Kategorien durch und zeigen, wo eine spezialisierte Lösung oder ein gehärteter Prozess die bessere Antwort ist als die Police allein.
Warum Versicherer 2026 die Schrauben anziehen
Die Branche hat 2023 in Deutschland kräftig draufgezahlt: Bei rund 261.000 Verträgen und 309 Millionen Euro Beitrag standen 180 Millionen Euro Schaden — die Schaden-Kosten-Quote (Combined Ratio) sprang von 77,7 auf 97 Prozent, die Prämien waren also fast vollständig aufgezehrt. Diese Zahlen nennt die Medieninformation des GDV zu Cyberschäden. Wenn ein Schadenjahr die Beiträge fast auffrisst, zieht jeder Versicherer die Konsequenz: schärfere Ausschlüsse, höhere technische Anforderungen, mehr Eigenverantwortung beim Kunden.
Dazu kommt das Akkumulationsrisiko. Ein einziger Cloud- oder Backbone-Ausfall trifft nicht einen Versicherten, sondern tausende gleichzeitig. Die Cyber-Trends 2026 von Munich Re beschreiben einen wachsenden Markt bei zugleich knapper Kapazität für genau diese systemischen Großschäden. Die Münchener Rück (Munich Re) ist hier einer der wichtigsten Rückversicherer und gibt die Linie für die ganze Branche vor. Für 10- bis 250-Personen-Betriebe in Hamburg, Bremen, Kiel und Lübeck heißt das praktisch: Die Police wird teurer, die Bedingungen enger — und der Nachweis, dass Sie Ihre Hausaufgaben gemacht haben, wird zur Voraussetzung.
Die Bedrohungslage hat sich 2024 und 2025 weiter verschärft: Mehr automatisierte Cyberangriffe, professionellere Lösegeldzahlungen-Modelle und eine wachsende Zahl an Datenschutzverletzungen treffen vor allem deutsche Unternehmen aus dem Mittelstand. Für viele kleine und mittlere Unternehmen verschiebt sich damit die Frage: Es geht nicht mehr nur darum, ob die Police günstig ist, sondern ob der Versicherungsschutz im Schadensfall überhaupt greift. Genau deshalb ist Risikomanagement keine Kür mehr, sondern die Eintrittskarte zum Vertrag — und der Schutz vor teuren Betriebsunterbrechungen, die jeden Tag ohne funktionierende IT bedeuten.
Die letzte Zahl ist die unangenehmste: Laut einer vom GDV beauftragten Forsa-Umfrage erfüllen 69 Prozent der befragten Mittelständler nicht einmal Basisanforderungen wie regelmäßige Backups oder soliden Passwortschutz. Das ist kein abstraktes Risiko — es ist ein direktes Ablehnungsrisiko, wenn der Schaden eintritt.
Krieg, Staat und der NotPetya-Schock
Der wichtigste Ausschluss, den die wenigsten Geschäftsführer kennen, betrifft staatlich gestützte Angriffe — und sein Lehrstück heißt NotPetya. Der Pharmariese Merck forderte nach dem Wurmangriff von 2017 rund 1,4 Milliarden US-Dollar von seinen Versicherern, die unter Verweis auf den Kriegsausschluss zahlen wollten. Ein US-Gericht entschied: Ein Cyberangriff ist kein Kriegsakt im Sinne der alten Klausel. Den Verlauf dokumentiert heise zum NotPetya-Urteil gegen die Merck-Versicherer. Der Lebensmittelkonzern Mondelez stritt parallel mit Zurich um einen dreistelligen Millionenbetrag und einigte sich außergerichtlich.
Die Branche hat aus diesen Verfahren gelernt — zu Ihren Lasten. Seit dem 31. März 2023 müssen Standalone-Cyberpolicen am Lloyd’s-Markt eine ausdrückliche Ausschlussklausel für staatlich gestützte Cyberangriffe enthalten. Die GDV-Musterbedingungen 2024 haben den Kriegsausschluss zusätzlich auf digital geführte Konflikte und Handlungen im Auftrag eines Staates erweitert. Das Problem für Sie: Bei modernen Angriffen ist die Zuordnung zu einem Staat oft strittig — denn ob ein Hacker auf eigene Rechnung oder im Auftrag eines Staates handelt, lässt sich selten zweifelsfrei belegen. Genau in dieser Grauzone der Versicherungsbedingungen setzen Ablehnungen an, und im Schadensfall ist es zu spät, die Klausel noch verhandeln zu wollen.
Ob ein Ransomware-Angriff einem staatlichen Akteur zugerechnet wird, entscheidet im Zweifel nicht Ihr Bauchgefühl, sondern eine Attributions-Einschätzung von Behörden oder Gutachtern. Lassen Sie sich vom Makler zeigen, welche Variante der staatlichen Ausschlussklausel in Ihrer Police steht und wie eng sie formuliert ist. Den genauen Wortlaut Ihrer Bedingungen sollten Sie kennen, bevor der Schaden da ist.
CEO-Fraud und Deepfake: die teuerste Deckungslücke
Hier liegt der Irrtum, der den Mittelstand am härtesten trifft: Klassischer CEO-Fraud ist in der Standard-Cyberpolice typischerweise nicht gedeckt. Der Grund ist der Ausschluss für den Abfluss von Vermögenswerten — also für Geld, das ein Mitarbeiter nach einer Täuschung freiwillig überweist. Aus Sicht der Police war kein System gehackt; es wurde ein Mensch manipuliert. Das fällt in eine andere Versicherungssparte.
Wie real der Schaden ist, zeigt der Fall des Ingenieurkonzerns Arup: Ein Mitarbeiter in Hongkong überwies rund 23 Millionen Euro, nachdem er in einer gefälschten Videokonferenz einen vermeintlichen Finanzvorstand und Kollegen gesehen hatte — alle per Deepfake erzeugt. Den Fall beschreibt Capital zum Deepfake-Betrug bei Arup. Genau dieser Schaden fällt in die Lücke zwischen Cyber- und Vertrauensschadenversicherung.
Die Lösung ist zweigeteilt. Versicherungstechnisch brauchen Sie einen eigenen Baustein. Organisatorisch brauchen Sie einen Freigabeprozess, der eine Überweisung nicht allein auf Zuruf — auch nicht per Video — auslöst. Wie schnell aus einem überzeugenden Anruf ein echter Schaden wird, sehen wir in der Praxis regelmäßig:
Ob Sie 5 oder 500 Mitarbeiter haben — einem KI-gesteuerten Massenangriff ist das völlig egal. Die verschlüsseln Sie automatisiert, einfach weil sie können. Deshalb braucht heute jedes Unternehmen einen Grundschutz.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Infrastruktur, Vorsatz und die KI-Front
Drei weitere Ausschluss-Kategorien sollten Sie kennen, weil sie unscheinbar wirken und im Ernstfall doch greifen.
Ausfall von Infrastruktur. Schäden durch überregionale Strom-, Telekommunikations- oder Internetausfälle sind in den GDV-Musterbedingungen ausgeschlossen — eben weil ein solcher Vorfall das beschriebene Akkumulationsrisiko auslöst. Auch Angriffe auf kritische Infrastrukturen fallen häufig unter diesen oder einen verwandten Ausschluss. Wenn Ihr Cloud-Anbieter flächig ausfällt, ist der daraus folgende Betriebsausfall möglicherweise nicht gedeckt. Die eigentliche Absicherung ist hier kein Versicherungsbaustein, sondern eine getestete Backup- und Wiederanlauf-Strategie. Ein flächiger Ausfall hat zudem Auswirkungen auf den Ruf: Kunden merken sich, wer tagelang nicht lieferfähig war.
Vorsatz und wissentliche Pflichtverletzung. Wer Sicherheitswarnungen bewusst ignoriert, eine bekannte Schwachstelle wochenlang offen lässt oder klare Richtlinien umgeht, handelt vorsätzlich oder grob fahrlässig — und verliert die Deckung. Vorsatz ist juristisch die härtere Schwester der groben Fahrlässigkeit, die „nur” quotal gekürzt wird; bei nachgewiesenem Vorsatz steht der Versicherer komplett außen vor. Auch eine nicht ausgeräumte, gemeldete Schwachstelle kann so zur Falle werden.
Wichtig zu wissen: Viele moderne Policen leisten nach einem Vorfall auch bei der Wiederherstellung des Betriebs — etwa für IT-Forensik, Datenwiederherstellung, Krisenkommunikation und Incident Response. Genau diese Leistungen entfallen jedoch, sobald ein Ausschluss greift oder eine Obliegenheit verletzt wurde. Dann tragen Sie Forensik, Datenwiederherstellung und Krisenkommunikation komplett selbst — schnell ein fünf- bis sechsstelliger Betrag, der die ganze Versicherbarkeit Ihres Restrisikos infrage stellt.
Die entstehende KI-Front. 2026 ist Bewegung im Markt: Erste Anbieter arbeiten an Klauseln rund um nicht freigegebene KI-Tools (Shadow AI) und Deepfake-Risiken, manche erweitern ihre Deckung sogar gezielt um KI-gestützte Täuschungen. KI verschärft dabei zwei Cyber-Risiken zugleich — sie macht Phishing-Angriffe täuschend echt und senkt die Einstiegshürde für Angreifer. Ein einheitlicher Standard existiert noch nicht. Klug ist, wer jetzt erfasst, welche KI-Werkzeuge im Betrieb tatsächlich genutzt werden — bevor ein nicht freigegebenes Tool zum Ausschlussgrund wird.
| Risiko | Standard-Cyberpolice | Wo es tatsächlich hingehört |
|---|---|---|
| Ransomware-Verschlüsselung | typischerweise gedeckt | Cyber-Kernschutz |
| CEO-Fraud / Deepfake-Überweisung | meist ausgeschlossen | Vertrauensschaden / Social Engineering |
| Staatlich gestützter Angriff | oft ausgeschlossen | Spezialdeckung, eng verhandelt |
| Flächiger Cloud-/Stromausfall | häufig ausgeschlossen | eigene Backup- & Wiederanlauf-Strategie |
| Vorsatz / ignorierte Warnung | ausgeschlossen | nicht versicherbar |
Diese Übersicht zeigt typische Ausschlüsse, die in den meisten Cyber-Versicherungen für KMU stecken. Sie deckt die bekannten Risiken ab — bei konkreten Cyberangriffen entscheidet am Ende aber immer der genaue Bedingungstext Ihrer Police. Die Tabelle ersetzt also nicht den Blick ins Kleingedruckte, sie sortiert nur, wo das Risiko eigentlich hingehört.
Wer das große Bild sucht, findet die Grundlagen zur Deckung in unserem Beitrag zur Cyber-Versicherung 2026 für den Hamburger Mittelstand — dieser Artikel hier dreht bewusst die Perspektive auf die Kehrseite, also die Ausschlüsse.
Obliegenheiten: Wo die Police wegen Ihres Setups nicht zahlt
Was die Obliegenheiten für eine Cyber-Versicherung für KMU bedeuten
Selbst wenn kein Ausschluss greift, kann der Versicherer ablehnen — wegen einer Obliegenheitsverletzung. Schon beim Abschluss einer Cyberversicherung verlangen die Versicherer den Nachweis bestimmter technischer und organisatorischer Maßnahmen, und die GDV-Musterbedingungen machen mehrere davon zur dauerhaften Pflicht: Patch-Management, regelmäßige getrennte Backups, Multi-Faktor-Authentifizierung bei aus dem Internet erreichbaren Servern und Mobilgeräten sowie aktueller Malware-Schutz. Wird eine dieser Pflichten verletzt, kann der Versicherer kürzen oder ganz aussteigen — eine Obliegenheitsverletzung wirkt damit fast wie ein nachträglicher Ausschluss. Welche Pflichten gängig sind und welche Konsequenzen drohen, fasst CyberDirekt zu den Obliegenheiten in der Cyberversicherung zusammen.
Ein zweiter Stolperstein ist die Frage, was die Police überhaupt abdecken soll. Gute Cyberversicherungen decken neben dem eigenen Schaden auch Drittschäden ab — etwa wenn Kundendaten abfließen und in der Folge ein DSGVO-Bußgeld oder eine Geldbuße der Aufsichtsbehörde droht. Doch genau Datenschutzverletzungen und die daraus folgenden DSGVO-Bußgelder sind in vielen Tarifen gedeckelt oder an enge Voraussetzungen geknüpft. Prüfen Sie deshalb konkret, welche Schadensarten Ihre Police wirklich abdeckt — und welche nur auf dem Werbeblatt stehen. Wer hier sauber arbeitet, behandelt die Cyberpolice als einen Baustein im größeren Cybersecurity-Risikomanagement für Geschäftsführer, nicht als Ersatz dafür.
Diese Pflichten sind nichts anderes als die technischen und organisatorischen Maßnahmen, die auch die Informationssicherheit insgesamt tragen — und die der Gesetzgeber über die DSGVO (Datenschutz-Grundverordnung) und die NIS-2-Richtlinie ohnehin verlangt. Ein sauberes Patch (Software wird zeitnah aktualisiert) und ein regelmäßiger Penetrationstest gehören dazu genauso wie MFA und getrennte Backups. Wer hier doppelt profitiert, erfüllt mit denselben Maßnahmen Police-Obliegenheiten und gesetzliche Vorgaben zugleich.
Entscheidend ist ein Punkt, den wir bei Neukunden regelmäßig erleben: Die Maßnahmen sind oft vorhanden — aber nicht nachweisbar. MFA ist „eigentlich” aktiv, das Backup läuft „bestimmt”, der Patch-Stand ist „in Ordnung”. Im Schadenfall trägt der Versicherungsnehmer die Beweislast. Wer nicht belegen kann, dass MFA flächendeckend aktiv und das Backup getestet war, steht trotz vorhandener Technik mit leeren Händen da. Bestimmte Ausschlüsse und Obliegenheiten greifen genau an dieser Lücke zwischen „vorhanden” und „belegbar”.
- Police-Wortlaut prüfen. Lesen Sie die konkreten Ausschluss- und Obliegenheitsklauseln Ihrer Bedingungen — nicht das Werbeblatt. Lassen Sie sich vom Makler zeigen, welche Variante der Kriegs- und Social-Engineering-Klausel gilt.
- Social-Engineering-Lücke schließen. Klären Sie, ob CEO-Fraud über einen Zusatzbaustein oder eine separate Vertrauensschadenversicherung gedeckt ist — und härten Sie parallel den Zahlungsprozess mit Vier-Augen-Prinzip.
- Selbstbehalt und Wartezeiten kennen. Prüfen Sie Selbstbehalt, Haftungssummen und Wartezeiten bei Betriebsunterbrechung. Eine niedrige Prämie mit hohem Selbstbehalt verschiebt das Risiko nur zurück zu Ihnen.
- Freigabeprozesse nachweisbar machen. Dokumentieren Sie MFA, getrennte Backups und Patch-Management so, dass Sie es im Schadenfall belegen können — Screenshots, Reports, Protokolle. Was Sie nicht beweisen können, zählt nicht.
So setzen wir das auch bei unseren Kunden auf — und kombinieren es mit einem ehrlichen Blick auf den Ist-Zustand:
Wir starten jede Zusammenarbeit mit einer Cyber-Risikoanalyse gemeinsam mit der Geschäftsführung. Nicht um Angst zu machen, sondern um ehrlich zu sehen, wo Sie stehen — und was als Erstes passieren muss.
Jens HagelGeschäftsführer, hagel IT-Services GmbH
Die technischen Mindeststandards sind kein Hexenwerk. MFA ist der wirksamste Einzelhebel — wie Sie ihn sauber ausrollen, zeigt unser Leitfaden zu Strategien für die Multi-Faktor-Authentifizierung in Unternehmen. Und ob Ihr Backup im Ernstfall wirklich trägt, klärt unser Beitrag dazu, wie Sie Ihre Datensicherung testen.
Vom Versicherungs- zum Resilienz-Mandat
Die Kernbotschaft ist unbequem, aber sie spart Ihnen im Ernstfall sechsstellige Beträge: Eine Cyberversicherung ersetzt keine Resilienz. Sie deckt das Restrisiko, nicht die Grundsicherung — und sie zahlt nur, wenn Ihre Technik und Ihre Prozesse nachweisbar in Ordnung waren. Nachweisbare Prozesse und solide Technik sind damit keine Empfehlung mehr, sondern die Voraussetzung für die Deckung.
Wir sehen die Konsequenz dieser Lücke in echten Schadenfällen:
Drei Monate lang konnten wir nicht arbeiten. Alles verschlüsselt — jedes Dokument, jede E-Mail, jede Rechnung. Seitdem weiß ich: IT-Sicherheit ist kein Luxus, sondern Überlebensfrage.
Drei Hebel entscheiden, ob Ihre Police im Ernstfall trägt — und ob Sie sie im Idealfall gar nicht brauchen:
- Technische Mindeststandards sauber dokumentiert. MFA, getrennte Backups, Patch-Management — nicht nur aktiv, sondern belegbar. Im Schadenfall liegt die Beweislast bei Ihnen.
- Zahlungsprozesse gegen CEO-Fraud gehärtet. Vier-Augen-Prinzip, fester Rückruf-Kanal, keine Überweisung allein auf Zuruf oder Video. Das schließt die teuerste Deckungslücke organisatorisch.
- Backup- und Wiederanlaufplan getestet. Ein Plan, der nie geprobt wurde, ist kein Plan. Gerade bei Infrastrukturausfällen ist er die einzige verlässliche Absicherung.
Für regulierte Betriebe lohnt zusätzlich der Blick auf die NIS2-Pflichten, denn viele Anforderungen überschneiden sich mit den Obliegenheiten der Versicherer. Ob Sie betroffen sind, klärt unser NIS2-Betroffenheits-Check in wenigen Minuten — die Einordnung dazu liefert unsere Übersicht zu NIS2 und Compliance aus Hamburg.
Erfüllt Ihr IT-Setup die Obliegenheiten Ihrer Cyberpolice überhaupt?
15 Minuten, kostenlos, ohne Vertriebsdruck. Wir sagen Ihnen, ob MFA, getrennte Backups und Patch-Management sauber dokumentiert sind — bevor im Schadenfall der Versicherer ablehnt.
Erstgespräch buchen →Ihr nächster Schritt
Eine Police ist die letzte Verteidigungslinie, nicht die erste. Wer im Ernstfall auf sie angewiesen ist, hat vorher mehrere Fehler gemacht — und riskiert, dass selbst diese letzte Linie wegen eines Ausschlusses oder einer verletzten Obliegenheit nicht hält. Der bessere Plan ist, gar nicht erst in diese Lage zu kommen: dokumentierte Technik, gehärtete Prozesse, ein getesteter Wiederanlauf.
Wie eine ehrliche Bestandsaufnahme aussieht, zeigt unsere Fallstudie zur Cyber-Risiko-Analyse im Mittelstand. Und falls bei Ihnen schon etwas verschlüsselt wurde, hilft unser Leitfaden, was Sie bei einem Ransomware-Angriff tun können, statt das Lösegeld zu bezahlen.
Wir betreuen Unternehmen mit 5 bis 150 Mitarbeitern in Hamburg und Norddeutschland — vom ersten Geräte-Check bis zum laufenden Schutz. Unser Managed IT Services-Angebot startet bei rund 50 Euro pro Arbeitsplatz und Monat und sorgt dafür, dass die Obliegenheiten Ihrer Police nicht nur erfüllt, sondern auch belegbar sind. Wie wir das technisch absichern, zeigt unsere Übersicht zu Cybersecurity aus Hamburg. Einen Gesamtüberblick über unsere Arbeit als IT-Dienstleister in Hamburg finden Sie auf der Standortseite, einen Einstieg auch direkt auf der Startseite von hagel IT.
